BTC 钱包风险检测与恢复评估 #1344

### 1. 一句话结论
钱包1344（BTC，bitcoin_legacy_bdb格式）目前**尚未获得明文密码**，且链上交易记录**未同步**，因此无法确认任何转入/转出活动；当前唯一能确认的是该钱包文件已成功录入系统并完成基础解析。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1344，币种BTC，钱包名称 `billeterasqr / addr.dat`，版本格式为 `bitcoin_legacy_bdb`（旧版Berkeley DB钱包）。
- **文件状态**：文件大小622,592字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_billeterasqr_addr.dat-efa9db05f0c4/addr.dat`，说明该文件已从原始位置采集并归档。
- **录入与更新时间**：录入时间2026-06-23 00:44:24，数据标注日期2026-06-23 00:57:40，最近一次更新为2026-06-29 18:35:08（推测为文件解析或状态复核时间）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有**任何强证据表明明文密码已获取。
- **余额标注**：业务标注“余额很小（≤阈值）”为“否”，即**不认为**该钱包余额低于小额阈值（注意：此标注与是否破解无关）。
- **交易数据**：链上交易摘要显示“未发现已同步的交易记录”，意味着当前数据库内无任何direction=receive/send的统计字段。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统在例行扫描中发现了这份名为 `MEGA-BONUS_billeterasqr_addr.dat` 的旧版BTC钱包文件。文件大小约608KB，属于典型的BDB格式，内部可能包含地址、密钥材料及元数据。我们首先对其完成了格式识别与路径归档，确认它来自 `fake.czb.com` 测试域下的“real”目录，说明它并非模拟数据，而是被当作真实样本纳入分析。

随后，在当天凌晨0点57分，系统对文件进行了数据标注，记录了文件属性与初始状态。但截至6月29日，钱包的“已知密码存在”字段始终为“否”，说明我们尚未从该文件中提取或验证出任何有效明文密码。同时，由于链上交易同步功能未被触发（页面未点击同步），系统内没有任何该地址的转入/转出记录，因此我们无法判断这笔钱包在链上是否活跃、最后活动时间是什么时候。

简单说：我们目前完成了“文件已到手、格式已确认、状态已建档”这三步，但“密码破解”和“交易画像”这两步都还停留在起点。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。链上交易摘要显示未同步任何交易记录，因此没有可用的转入统计字段。
- **转出（send）**：未知。同样因未同步交易，无任何转出统计字段。
- **补充说明**：如需精确的“最后转出时间”或历史收支，必须先完成链上交易同步操作，否则任何关于资金流向的结论都属于臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统**不认为**此钱包余额低于小额阈值。但这只是一个业务侧的资金量级预判，**不代表**我们已读取到余额，也不代表余额真的很大——它只是“未触发小额标记”而已。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：在页面点击“同步交易”，获取该钱包地址的完整转入/转出记录，这是判断资金活动的前提。
2. **确认钱包地址本身**：从 `addr.dat` 中提取BTC地址列表（公钥哈希），用于后续链上查询。
3. **核对文件来源上下文**：查找 `MEGA-BONUS` 目录下是否有同名或关联的 `.txt`、`.csv`、说明文档，可能包含密码提示或来源备注。
4. **检查同批次钱包样本**：确认 `fake.czb.com/BTC/real/` 下是否有其他钱包文件，若存在已破解样本，可对比其文件结构差异。
5. **补充钱包创建时间线索**：查看文件元数据（如inode时间戳）或BDB内部时间字段，辅助判断钱包使用年代。
6. **收集用户侧线索**：若该钱包来自某历史事件（如旧交易所、空投活动），补充事件背景材料有助于缩小密码猜测范围。
7. **验证文件完整性**：确认622,592字节的文件未被截断或损坏，必要时重新提取原始文件做哈希比对。
8. **建立“密码假设”清单**：基于文件名 `billeterasqr`（西班牙语“钱包”+“二维码”谐音）推测可能的口令习惯，但仅作为线索记录，不进行实际破解尝试。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与归档**：已完成，确认是 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **基础字段录入**：钱包ID、路径、大小、时间戳均已入库，无需重新采集。
- **密码状态确认**：已明确“无已知密码”，因此**不应**再投入资源去“验证是否已有密码”，而应转向“如何获取新线索”。
- **交易同步**：**尚未执行**，这是当前最大缺口，也是下一步首要动作——不要误以为“已同步过”而跳过此步骤。